外部送信規律の対応は何から始めるか。Cookieバナーと同意の話を分けて整理する

「うちのサイトも、あの規律の対象なんでしょうか」

MONJI+をご利用いただいている運用担当の方から、こんな声をいただきました。アクセス解析や広告タグの追加をお願いしたときに、この質問が返ってくることが増えたそうです。

この声を聞いて、私たちが最初に思ったのは「同じところで止まっているな」ということでした。
Cookieバナーの話と混ざり、同意を取ればいいのか、プライバシーポリシーに書けばいいのかで迷い、最後は「そもそも、このタグは誰が何のために入れたんでしたっけ」で一度止まる。私たちも偉そうなことは言えません。過去の自分たちが入れたタグに、未来の自分たちが首をかしげる。Web運用では、こういう小さなタイムカプセルがよく埋まっています。

この記事では、外部送信規律の対応を、法律の細かい解説ではなく、Web運用担当者がどこから確認すればよいかという手順として整理します。

外部送信規律は、利用者の端末から外部へ情報を送るときに、何を・どこへ・何のために送るのかを、あらかじめ知らせておくよう求める決まりです。電気通信事業法の第27条の12として2023年6月16日に施行されました。対応の入口は条文の読み込みではなく、自社サイトにどのタグが入っているかを一覧にすることです。

• 対象になるかどうかは、サイトの有無ではなく、提供している役務が対象の類型に当たるかで決まる。




• 求められているのは、送信する情報の内容と送信先の事業者名と利用目的を、通知するか公表すること。




• 同意を取ることと、通知や公表をすることは別の話で、混ざると対応がぶれる。

なぜ外部送信規律の対応は途中で止まるのか

先に、詰まる場所を書いておきます。

止まるのは、条文が難しいからではありません。
「書き方」を調べにいった先で、そもそも自社サイトにどのタグが入っているかを誰も把握していない、という段階に戻されるからです。

タグは、担当が変わるたびに少しずつ増えます。キャンペーンのために一時的に入れたもの、効果測定のために試したもの、代理店から依頼されて入れたもの。入れた理由が残っていないと、外していいのかどうかも決められません。

もうひとつ、Cookieバナーとの混線があります。同意を取る話と、通知や公表をする話は、根拠が別のものです。ここを1つの作業として扱うと、担当が変わったときに何のために置いたバナーなのか分からなくなります。
つまり、制度の理解より先に、運用の形が足りていない。これが対応の止まる構造です。

外部送信規律で対象になる情報の範囲

手順に入る前に、言葉の中身を確かめます。

外部送信規律は、電気通信事業法の第27条の12に置かれた決まりで、2023年6月16日に施行されました。サイトに設置したタグや、アプリに組み込んだモジュールによって、利用者の端末から利用者に関する情報が外部へ送られる場合に、あらかじめ知らせておくことを求めています。

対象になる情報は、Cookieだけではありません。閲覧履歴、IPアドレス、端末の識別につながる情報など、利用者の端末から外部へ送られる情報が広く含まれます。

ここが最初のつまずきどころで、Cookieの話だと思って読むと範囲を読み違えます。
タグを1つ入れるという行為が、情報を外へ送る行為として見られている。この置き換えができると、あとの判断が早くなります。

出典：総務省 外部送信規律 法令・ガイドライン・パンフレット https://www.soumu.go.jp/main_sosiki/joho_tsusin/d_syohi/gaibusoushin_kiritsu_00001.html

対応を進める5つのステップ

私たちの運用現場では、次の順で手を付けています。

STEP 1：対象になるかを3つの質問で確かめる

判断の起点は、サイトを持っているかどうかではありません。その事業者が提供している役務が、利用者の利益に及ぼす影響が大きい電気通信役務に当たるかどうかで決まります。

総務省のFAQでは、次のような類型が示されています。

• 利用者どうしのメッセージのやり取り




• SNS、電子メール




• オンラインショッピング




• オンラインゲーム




• ニュースの配信

そのうえで、次の3つを順に確かめると早いです。

1. 自社のサイトやアプリで、上の類型に当たる役務を提供しているか。




2. 提供しているとして、そこで利用者の端末から外部へ情報を送るタグやモジュールを使っているか。




3. 使っているとして、送信する情報の内容と送信先と利用目的を、いま利用者が知れる状態になっているか。

3つとも当てはまるなら、通知か公表の手当てが要ります。1つ目で当てはまらないなら、この規律としての義務は生じません。ただし、個人情報の取り扱いとしての説明責任は別に残ります。判断に迷う場合は、自己流で決めずに総務省のFAQを確認してください。

出典：総務省 外部送信規律FAQ https://www.soumu.go.jp/main_sosiki/joho_tsusin/d_syohi/gaibusoushin_kiritsu_00002.html

STEP 2：同意と通知を切り分ける

外部送信規律が求めているのは、通知するか公表することです。同意を取ることを一律に求めているわけではありません。

同意を求めるやり方は、欧州の法制度に由来する話や、広告配信の各サービス側が定める要件から来ていることが多く、根拠が別にあります。だから「バナーを出したから外部送信規律の対応は終わり」とは言えませんし、逆に「バナーを出していないから未対応」とも限りません。

根拠が違うものは、決めた理由を分けて書き残しておくほうが後が楽です。バナーを出す判断と、通知や公表を用意する判断を、別の記録として残してください。

STEP 3：入っているタグを一覧にする

ここが実質的な出発点です。サイトに入っているタグを、ページ種別ごとに一覧にします。想定外のタグが出てくることが多い工程です。

1件ずつ、送信先の名称と利用目的を確認します。分からないものは、入れた経緯をたどるところから始めます。そのうえで、残すもの、外すものを決めます。使っていないタグは外すほうが、説明する対象が減って早いです。

STEP 4：書く内容と置き場所をそろえる

知らせる内容として求められているのは、次の3つです。

• 送信される情報の内容




• 送信先の事業者の名称




• その情報の利用目的

置き場所は、利用者が容易にたどり着けることが条件になります。プライバシーポリシーの中にまとめて書く形でも、外部送信について独立したページを用意する形でも構いませんが、フッターなどからたどれる状態にしておく必要があります。

なお、全部を書き出す必要はありません。総務省のFAQでは、次のようなものが適用の対象外として整理されています。

• 利用者がその送信を求めた情報




• 認証に必要な情報




• サービスを提供するために真に必要な情報




• 事業者が自ら利用する情報

ログイン状態を保つための情報や、カートの中身を保持するための情報まで、一つひとつ書き出す話ではありません。

STEP 5：決めた内容と理由を残し、追加時の確認項目に足す

最後が、いちばん抜けやすいところです。決めた内容と、なぜそう決めたのかを、チームで見られる場所に残します。そして、タグを追加するときの確認項目に、この判断を足しておきます。

ここが抜けると、半年後に同じ調査をやり直すことになります。しかも、そのときには当時の担当者の記憶も薄れています。Slackを掘り、メールを検索し、最後は「たぶん必要だったんだと思います」と言いながら、また同じ判断をします。これはもう調査ではなく、発掘作業です。

MONJI+は、こうした運用の決めごとと確認の履歴を一か所にまとめておけるWeb運用プラットフォームです。決めた方針と理由はWikiに残し、タグを追加するときに見る項目はチェックリストにそろえています。公開後に表示崩れなどの直しが出たときは、そのまま修正依頼として担当と期日を付けて渡せます。

この順番にしてから変わったこと

やっていることは地味です。それでも、順番を決めてから変わったことがあります。

• 条文の読み込みから入らなくなり、まずタグの一覧を作るところから始められるようになった。




• 使っていないタグが棚卸しで見つかり、説明する対象そのものが減った。




• 「このバナーは何のために置いたのか」を、担当が変わったあとでも記録から追えるようになった。




• タグを追加するときの確認項目に判断が入り、増やす前に一度立ち止まるようになった。

減ったのは作業量そのものではなく、同じ調査を二度やる時間のほうです。

注意点：判断が難しいのは解析タグと広告タグ

期待しすぎないために、限界も書いておきます。

手順にできるのは、一覧を作ることと、決めた理由を残すところまでです。個々のタグが対象に当たるかどうかの判断そのものは、自動化できません。とくに解析タグや広告タグは、自社で使うのか外部へ渡すのかが見えにくく、ここでいちばん時間がかかります。送信先の資料を読んで、送っている先の名前で判断してください。

この記事も、法律の解説ではありません。判断と手当ての順番の話として読んでもらえたら嬉しいです。自社の役務が対象に当たるかどうかで迷う場合や、書き方の当否が問題になる場合は、総務省のFAQを確認したうえで、必要に応じて専門家に相談してください。

よくある質問（FAQ）

Q. コーポレートサイトも外部送信規律の対象ですか？
A. 対象かどうかは、サイトの種類ではなく、提供している役務が利用者の利益に及ぼす影響が大きい電気通信役務に当たるかで決まります。会社案内や採用情報の掲載が中心のサイトは類型に当たらない場合がありますが、自己判断せず総務省のFAQで自社の役務を確認してください。

Q. Cookieを使っていなければ対応は不要ですか？
A. 対象になる情報はCookieに限りません。閲覧履歴やIPアドレス、端末の識別につながる情報など、利用者の端末から外部へ送られる情報が広く含まれます。タグやSDKを設置している時点で、送信の有無を確認する必要があります。

Q. 同意ボタンを出せば対応したことになりますか？
A. 外部送信規律が求めているのは通知または公表であり、同意の取得を一律に求めるものではありません。同意を求めるやり方は別の根拠から来ていることが多いため、何のために置いたものかを分けて記録しておくと、担当が変わっても判断がぶれません。

Q. 何を書けばいいのか、項目を教えてください。
A. 送信される情報の内容、送信先の事業者の名称、その情報の利用目的の3点です。置き場所は、利用者が容易にたどり着ける場所であることが条件なので、フッターなどからたどれる状態にしてください。

Q. どこから手を付ければいいですか？
A. 自社サイトに入っているタグの一覧を作るところからです。書き方を調べるより先に、対象になるタグが何本あるかを把握したほうが、その後の判断が速くなります。

まとめ

• 外部送信規律は電気通信事業法の第27条の12に置かれた決まりで、2023年6月16日に施行された。




• 対象になる情報はCookieに限らず、閲覧履歴やIPアドレスなど、利用者の端末から外部へ送られる情報が広く含まれる。




• 対象かどうかはサイトの種類ではなく、提供している役務が利用者の利益に及ぼす影響が大きい電気通信役務に当たるかで決まる。




• 求められているのは、送信される情報の内容と送信先の事業者名と利用目的を、通知するか、利用者が容易にたどり着ける場所に公表すること。




• 利用者が送信を求めた情報、認証に必要な情報、サービス提供に真に必要な情報、事業者が自ら利用する情報は適用の対象外として整理されている。




• 手順としては、対象判定、同意と通知の切り分け、タグの棚卸し、記載内容と置き場所の決定、決めた理由の記録と確認項目への追加の順で進める。

タグを1本足すたびに判断が必要になるので、決めた理由を次に触る人が読める場所に置いておくと後が楽になります。

AI時代のチームWeb運用プラットフォームMONJI+

私たちが現場で感じてきた課題を解決するために生まれたのが、Web運用プラットフォームMONJI+です。
最初から完成されたものを目指さず、現場のリアルな声と向き合いながら、一つひとつ育ててきました。

▼MONJI+について
https://monji.tech/ja/plus/

▼まずは無料ではじめる
30日間の無料トライアルで全機能を試せます。ずっと無料のフリープランもあります。
https://monji.tech/ja/plus/trial/

▼そのまま登録して使いはじめる
https://tool.monji.tech/ja/signup